Agregar una firma digital a un PDF parece que debería agregar solo el tamaño de la imagen de la firma, tal vez de 20 a 50 kilobytes para un archivo PNG típico. El aumento real del tamaño del archivo suele ser mucho mayor, a veces de varios cientos de kilobytes o incluso megabytes para un documento que anteriormente mostraba un tamaño de archivo modesto. Esta discrepancia desconcierta a los usuarios que esperan que el tamaño del archivo crezca aproximadamente al tamaño de los datos de firma agregados. La explicación radica en cómo se integran las firmas digitales en un PDF, la infraestructura criptográfica que requieren y los cambios estructurales que sufre el formato PDF al pasar de un documento sin firmar a uno firmado.
Qué agrega una firma digital a un PDF más allá de la imagen de firma visible
Una firma digital en un PDF no es simplemente una imagen pegada en una página. Es una construcción criptográfica que incluye varios componentes más allá de la apariencia visible de la firma. El núcleo de la firma es un hash firmado del contenido del documento, creado utilizando una clave privada y verificable mediante el correspondiente certificado de clave pública. Estos datos criptográficos, el hash, el valor de la firma y la cadena del certificado, suelen ocupar entre 2 y 10 kilobytes, según el tipo de certificado y el algoritmo de firma utilizado. La imagen de firma visible, si se utiliza, agrega el tamaño del archivo de imagen además de los datos criptográficos.
Más allá de los datos de la firma en sí, la especificación PDF requiere un diccionario de firmas que describa las propiedades de la firma: la hora de la firma, el motivo de la firma, la ubicación, el filtro y subfiltro que identifica al controlador de la firma y referencias a los rangos de datos firmados dentro del archivo. Este diccionario más los metadatos que lo acompañan pueden agregar varios kilobytes más. Para la mayoría de las firmas, los datos totales directamente atribuibles a la firma deben estar en el rango de 30 a 100 kilobytes. El aumento de tamaño más allá de este rango proviene de factores estructurales en la forma en que el PDF absorbe los datos de la firma. La siguiente tabla desglosa los componentes que contribuyen al crecimiento del tamaño del archivo.
| Componente de firma | Rango de tamaño típico | Qué contiene |
|---|---|---|
| Datos de firma criptográfica | 2-10 KB | Hash firmado, valor de firma, token de marca de tiempo |
| cadena de certificados | 3-15 KB | Certificado de firmante, certificados de CA intermedia, certificado raíz |
| Datos de revocación (CRL/OCSP) | 5-30 KB | Prueba de que los certificados eran válidos en el momento de la firma. |
| Diccionario de firmas y metadatos | 2-5 KB | Hora de firma, motivo, ubicación, identificadores de filtro |
| Imagen de firma visible | 10-100 KB | PNG o JPEG de la firma o sello manuscrito |
| Gastos generales estructurales (ahorro incremental) | 30-80 KB | Tabla de referencias cruzadas actualizada, objetos añadidos y descriptores de rango de bytes |
Cómo cambia la estructura del archivo PDF cuando se agrega una firma
Un archivo PDF almacena su contenido como una colección de objetos numerados vinculados por una tabla de referencias cruzadas que asigna números de objetos a desplazamientos de bytes dentro del archivo. Cuando se agrega una firma digital, el PDF debe modificarse de manera que no invalide la firma sobre el contenido existente. Esto se logra mediante un guardado incremental, donde el contenido del archivo original no se modifica y se agregan nuevos objetos al final del archivo. Los nuevos objetos incluyen el diccionario de firmas, los datos firmados, la tabla de referencias cruzadas actualizada y cualquier objeto que haya sido modificado como parte del proceso de firma.
El mecanismo de guardado incremental garantiza que la firma se pueda verificar comparando los rangos de bytes firmados con el contenido original. Sin embargo, los guardados incrementales son ineficientes en el uso del espacio de archivos. Los objetos a los que se podría hacer referencia de forma compacta en una reescritura completa deben especificarse completamente en la sección adjunta. La tabla de referencias cruzadas crece con cada guardado incremental. La primera firma normalmente añade entre 30 y 80 kilobytes de sobrecarga estructural además de los datos criptográficos. Las firmas posteriores suman cantidades similares. Un documento firmado por cuatro partes puede contener varios cientos de kilobytes de datos estructurales relacionados con la firma.
El papel de las cadenas de certificados y los datos de verificación de revocación
Una firma digital a menudo incorpora la cadena de certificados completa necesaria para verificar la identidad del firmante: el certificado del firmante, los certificados de la autoridad certificadora intermedia emisora y, a veces, el certificado raíz. Cada certificado de la cadena puede tener de 1 a 3 kilobytes. Una cadena de tres certificados suma de 3 a 9 kilobytes. Algunas herramientas de firma también incorporan listas de revocación de certificados (CRL) o respuestas OCSP que demuestran que los certificados eran válidos en el momento de la firma. Estas estructuras de datos de verificación de revocación pueden ser sorprendentemente grandes y, en ocasiones, exceden el tamaño de los propios certificados. Una respuesta OCSP completa con múltiples entradas de estado puede agregar de 10 a 20 kilobytes o más.
La decisión de incluir datos de revocación la toma el software de firma y está influenciada por el perfil de firma que se utiliza. Las firmas de validación a largo plazo (LTV), diseñadas para ser verificables años después de que expiren los certificados, incluyen más datos de revocación que las firmas básicas diseñadas para verificación inmediata. Es posible que el usuario no se dé cuenta de que su herramienta de firma está incorporando datos de revocación porque la opción a menudo está oculta en configuraciones avanzadas o habilitada de forma predeterminada. El aumento del tamaño del archivo resultante puede resultar confuso porque el usuario ve una imagen de firma pequeña y espera un cambio correspondientemente pequeño en el tamaño del archivo.
Por qué diferentes herramientas PDF producen diferentes aumentos en el tamaño de los archivos
Diferentes herramientas de firma de PDF implementan el proceso de firma con diferentes niveles de eficiencia estructural. Una herramienta puede realizar una reescritura completa del PDF como parte del proceso de firma, compactando la estructura del archivo y eliminando datos huérfanos de ediciones anteriores, de modo que el aumento neto del tamaño del archivo debido a la firma se compensa con la limpieza estructural. Otra herramienta puede realizar un guardado incremental que conserve todo el contenido existente sin cambios, lo que da como resultado que se agregue toda la sobrecarga estructural al tamaño del archivo existente. La misma firma aplicada al mismo documento mediante dos herramientas diferentes puede producir archivos de salida que difieren en tamaño en cientos de kilobytes.
La herramienta Sign PDF de WukongPDF aplica firmas digitales mientras administra la estructura del archivo de manera eficiente. La firma añade los datos criptográficos necesarios sin duplicaciones estructurales innecesarias. Para documentos que se han editado mucho antes de firmar, realizar una reescritura completa antes de firmar utilizando la función Guardar como para crear una copia limpia y luego firmar esa copia minimiza el tamaño del archivo acumulativo. La combinación de un archivo base limpio y una herramienta de firma eficiente produce el PDF firmado más pequeño posible.
Administrar el tamaño del archivo cuando se requieren varias firmas
Los documentos que requieren múltiples firmas presentan el mayor desafío en cuanto a tamaño de archivo porque cada firma agrega sus propios datos criptográficos y una sobrecarga estructural a través de un guardado incremental. Un contrato firmado por un comprador, un vendedor y dos testigos contiene cuatro capas de datos de firma. Si cada firma añade de 50 a 100 kilobytes, el aumento total del tamaño relacionado con la firma es de 200 a 400 kilobytes, lo cual es totalmente razonable para la seguridad jurídica proporcionada. Los problemas surgen cuando cada firma agrega varios cientos de kilobytes debido a datos de revocación integrados y cadenas de certificados detalladas, lo que lleva el aumento total al rango de megabytes.
Para administrar el tamaño de archivo para documentos con múltiples firmas, utilice un flujo de trabajo de firma que minimice la sobrecarga estructural. Firme el documento utilizando herramientas que produzcan firmas compactas. Entre firmas, evite editar y guardar innecesarios que agregarían capas de guardado incrementales intermedias. Si el tamaño del archivo se vuelve problemático, utilice una herramienta de optimización de PDF después de completar todas las firmas para compactar la estructura del archivo. Las firmas siguen siendo válidas mediante optimización siempre que no se modifiquen los rangos de bytes firmados. Los datos de la firma digital se conservan mientras se limpia la sobrecarga estructural de múltiples guardados incrementales, lo que produce un documento firmado que es legalmente válido y de tamaño eficiente.
Comprender qué contribuye al crecimiento del tamaño del archivo después de la firma le ayudará a tomar decisiones informadas sobre su configuración de firma. Para documentos donde el tamaño del archivo importa, como los distribuidos por correo electrónico o cargados en portales con tamaño restringido, elegir un perfil de firma que omita datos de revocación innecesarios y utilice una cadena de certificados mínima puede ahorrar cientos de kilobytes por firma. Para documentos donde la validación a largo plazo importa más que el tamaño del archivo, como contratos que pueden ser impugnados años después, el tamaño adicional de los datos de revocación es una inversión que vale la pena en la futura defensa legal del documento.